Een pentest kost in Nederland meestal 4.000 tot 15.000 euro, exclusief btw. De pentest kosten volgen uit het aantal testdagen maal een dagtarief van 1.000 tot 2.000 euro. Een test van één kleine webapplicatie begint rond 2.500 euro, red teaming loopt op tot 50.000 euro en hoger.
De bedragen op deze pagina komen uit openbaar gepubliceerde tarieven van Nederlandse bureaus, gecontroleerd op 5 oktober 2026.
Door Redactie Securiguide. Laatst gecontroleerd op 5 oktober 2026.
| Reguliere pentest | 4.000 tot 15.000 euro |
| Kleine webapplicatie | Vanaf circa 2.500 euro |
| Dagtarief | 1.000 tot 2.000 euro, uurtarief 125 tot 250 euro |
| Testdagen | 3 tot 10, plus intake en rapportage |
| Doorlooptijd | 2 tot 4 weken van intake tot rapport |
| Hertest | Inbegrepen, of los 20 tot 30 procent van de testprijs |
| Red teaming | 20.000 tot 50.000 euro of meer |
Alle bedragen exclusief btw.
Op deze pagina: kosten per type test · testdagen en dagtarief · zes prijsfactoren · tarieven van acht bureaus · wat er in de prijs zit · pentest of scan · kosten beperken · veelgestelde vragen
Pentest kosten per type test
Het type test bepaalt de bandbreedte, de scope bepaalt waar je daarbinnen uitkomt.
| Type pentest | Testdagen | Richtprijs |
|---|---|---|
| Externe infrastructuur | 2 tot 5 | 3.000 tot 8.000 euro |
| Webapplicatie | 3 tot 5 | 6.000 tot 12.000 euro |
| API | 2 tot 7 | 3.000 tot 10.000 euro |
| Mobiele app (iOS of Android) | 3 tot 5 | 5.000 tot 10.000 euro |
| Cloud of Microsoft 365 | 3 tot 5 | 6.000 tot 12.000 euro |
| Interne netwerktest | 3 tot 5 | 6.000 tot 15.000 euro |
| Active Directory | 5 tot 10 | 10.000 tot 25.000 euro |
| Phishing en social engineering | 2 tot 5 | 4.000 tot 10.000 euro |
| Red teaming | 10 tot 20 of meer | 20.000 tot 50.000 euro of meer |
| TIBER-test | 3 tot 8 maanden | 100.000 tot 300.000 euro |
Richtprijzen exclusief btw, uit openbaar gepubliceerde tarieven verzameld door IBgids (augustus 2026) en Matproof (maart 2026).
Webapplicatie: drie ordegroottes
Bij webapplicaties lopen de bedragen het verst uiteen. Secure Audit deelt ze in drie groepen in. Wat de tester in die dagen onderzoekt, staat bij pentest van een website.
- Klein. Beperkte functionaliteit en één of twee gebruikersrollen. 3 tot 5 testdagen, 4.000 tot 7.000 euro.
- Gemiddeld. Meerdere rollen, een eigen API en gevoelige gegevens. 5 tot 10 testdagen, 7.000 tot 15.000 euro.
- Groot. Veel maatwerk, koppelingen en meerdere applicaties in scope. Vanaf 15.000 euro.
Bureaus met vaste pakketten beginnen lager. Een compacte test staat bij Resync, Budget Security en DongIT voor 2.500 tot 3.000 euro op de site. De bedragen per bureau staan in het overzicht van gepubliceerde tarieven.
Testdagen maal dagtarief: zo ontstaat de prijs
Een bureau schat het aantal testdagen in een scopegesprek en vermenigvuldigt dat met het dagtarief. IBgids vond in augustus 2026 uurtarieven van 125 tot 250 euro, omgerekend 1.000 tot 2.000 euro per dag. Budget Security publiceert 849 euro per testdag, EHGI noemt 1.500 tot 2.500 euro voor ervaren testers.
De schatting van het aantal dagen verklaart het grootste verschil tussen offertes. Dezelfde applicatie komt bij het ene bureau op drie dagen en bij het andere op vijf.
| Onderdeel | Krappe offerte | Ruime offerte |
|---|---|---|
| Testdagen | 3 | 5 |
| Uurtarief | 125 euro | 250 euro |
| Scope | Eén applicatie, zonder login en zonder API | Dezelfde applicatie met login, API en de omgeving eromheen |
| Totaal | Circa 3.000 euro | Circa 10.000 euro |
Rekenvoorbeeld van IBgids, augustus 2026.
Vergelijk offertes eerst op scope, aantal testdagen en hertest, en daarna op het eindbedrag.
Zes factoren die de pentest kosten bepalen
De scope weegt het zwaarst. De andere vijf factoren verschuiven de prijs binnen de bandbreedte van het type test.
- Scope. Het aantal applicaties, systemen, schermen en API-endpoints bepaalt hoeveel er te testen valt. Twee applicaties kosten bijna twee keer zoveel als één.
- Gebruikersrollen. Elke extra rol betekent meer toegangsrechten om te controleren. Een applicatie met acht rollen vraagt meer dagen dan een met twee.
- Testvorm. Black box is volgens Matproof 20 tot 40 procent duurder dan grey box, omdat de tester meer tijd aan verkenning besteedt. Wat elke testvorm inhoudt, staat bij black box, grey box en white box.
- Ervaring van de tester. Matproof noemt dagtarieven van 800 tot 1.200 euro voor een junior en 1.600 tot 2.500 euro voor een senior met certificeringen als OSWE of CREST.
- Rapportage-eisen. Een test voor DigiD, PCI DSS of een audit op ISO 27001 of NIS2 vraagt extra rapportage en een koppeling van bevindingen aan de norm.
- Planning. Spoed kost volgens Matproof 30 tot 50 procent extra. Plan vier tot zes weken vooruit om die toeslag te voorkomen.
Gepubliceerde pentest tarieven van acht Nederlandse bureaus
Deze acht bureaus zetten hun prijzen open op de website. De tabel toont wat er op 5 oktober 2026 stond.
| Bureau | Gepubliceerd tarief | Scope bij dat tarief | Hertest |
|---|---|---|---|
| Budget Security | 849 euro per testdag. 2.547 euro voor 3 dagen, 4.245 euro voor 5 dagen | 3 dagen: kleine webapplicatie, API of extern netwerk. 5 dagen: intern netwerk of mobiele app | Eén hertest inbegrepen |
| Resync | Vanaf 2.500, 4.500 en 7.500 euro | Circa 2 tot 3, 4 tot 5 en 6 of meer testdagen | Inbegrepen |
| DongIT | 2.960 euro, vanaf 5.040 euro en vanaf 7.200 euro | Compacte test, middelgrote webapplicatie of app, complexe applicaties en netwerken | Los geprijsd |
| Monkeys ICT | Vanaf 1.250 euro. 4.000 tot 7.000 euro | Kleine webapplicatie in 1 tot 2 dagen. Uitgebreide webapplicatie in 3 tot 5 dagen | Los geprijsd |
| Zolder | 175 euro per uur. 5.000 tot 15.000 euro | Gemiddelde webapplicatie | Geen vermelding bij de prijs |
| CyberScore | 6.500 euro vast | Eén webapplicatie met API, 5 testdagen | Inbegrepen |
| Securitytest | 2.500 tot 5.000 euro. 5.000 tot 10.000 euro | Kleine webapplicatie of API. Webapplicatie of portaal met meerdere rollen | Geen vermelding bij de prijs |
| Anderis Security | Vanaf 1.800 euro | Instapprijs, afhankelijk van de scope | Geen vermelding bij de prijs |
Bedragen exclusief btw, overgenomen van de websites van de bureaus op 5 oktober 2026. Securitytest en Anderis Security vermelden de btw-status zelf niet. Een vermelding in deze tabel is geen aanbeveling.
Bij drie bureaus zit de hertest in de prijs, bij twee betaal je er apart voor en drie vermelden het bij de prijs niet. Vraag er bij elke offerte naar.
Veel andere bureaus werken op offerte na een scopegesprek. Het overzicht van pentest bedrijven toont 52 Nederlandse bureaus die pentests uitvoeren, met plaats en pentestaanbod.
Wat hoort er in de prijs te zitten?
Een volledige offerte dekt vijf onderdelen. Vraag bij een ontbrekend onderdeel wat het los kost.
- Intake en scopedocument met een duidelijke afbakening van wat wel en wat buiten de test valt.
- Het testwerk volgens een herkenbaar kader, voor webapplicaties de OWASP Web Security Testing Guide.
- Een rapport met een risicoscore per bevinding en een concreet hersteladvies. Wat een bruikbaar rapport bevat, lees je bij het pentestrapport.
- Een nabespreking waarin de tester de bevindingen toelicht.
- Een hertest die vaststelt dat de bevindingen zijn opgelost.
Controleer vooral de hertest. Los kost die volgens Matproof 20 tot 30 procent van de testprijs. Het CCV-keurmerk Pentesten raadt een hertest aan en stelt hem niet verplicht.
Kosten binnen je eigen organisatie
Je eigen team besteedt ook tijd aan de test. Matproof rekent met 2 tot 5 dagen voorbereiding, 1 tot 3 dagen begeleiding en 5 tot 20 dagen herstelwerk.
Prijsverschil tussen een pentest en een vulnerability scan
Een geautomatiseerde vulnerability scan kost een paar honderd tot circa 2.000 euro. DongIT prijst een semi-geautomatiseerde scan op 1.480 euro en de compacte pentest op 2.960 euro. De KVK noemt rond de duizend euro voor een kleine test van een dag, waarbij de tester je systeem naloopt op kwetsbaarheden die vaak voorkomen.
Een scan herkent bekende patronen. Fouten in toegangscontrole en bedrijfslogica vindt een tester met handwerk, en dat vraagt dagen.
Vier signalen dat een offerte een scan beschrijft
- De prijs staat vast zonder scopegesprek vooraf.
- De offerte noemt een totaalbedrag en geen aantal testdagen.
- Je hoort niet wie er test en welke certificering die persoon heeft, zoals OSCP.
- Het voorbeeldrapport bevat scanneruitvoer zonder reproductiestappen.
Vergelijk pentestbureaus op scope, testdagen en hertest
In de gids van Securiguide staan Nederlandse bureaus die pentests uitvoeren, met per bedrijf een profiel van diensten en specialisaties.
Vijf manieren om de pentest kosten te beperken
Je verlaagt de prijs door testdagen te besparen die naar zoeken en wachten gaan.
- Baken de scope af. Test de applicatie met de gevoelige gegevens en bewaar de rest voor een volgende ronde.
- Kies grey box. Met testaccounts en documentatie gaat de testtijd naar de applicatie zelf.
- Zet alles klaar op dag één. Denk aan de testomgeving, accounts per rol en een bereikbare contactpersoon. Elke dag wachten op toegang is een betaalde dag.
- Draai vooraf een scan. Los de bekende kwetsbaarheden op, dan besteedt de tester zijn dagen aan wat een scanner mist.
- Test jaarlijks bij een vast bureau. De tester kent je omgeving dan al. Een raamovereenkomst kan volgens Matproof 10 tot 25 procent schelen.
Veelgestelde vragen over pentest kosten
Wat kost een pentest voor het mkb?
Een grey box test van je belangrijkste webapplicatie begint rond 3.000 euro. Een test van de volledige infrastructuur van een mkb-bedrijf tot 100 systemen kost volgens Matproof 8.000 tot 18.000 euro en duurt 5 tot 10 dagen.
Wat is het uurtarief van een pentester?
Het uurtarief ligt tussen 125 en 250 euro, exclusief btw. Zolder publiceert 175 euro per uur. Bureaus die per dag rekenen, vragen 849 tot 2.500 euro.
Wat kost red teaming of een TIBER-test?
Red teaming kost 20.000 tot 50.000 euro of meer en duurt weken. Een TIBER-test voor een financiële instelling kost volgens Matproof 100.000 tot 300.000 euro en duurt drie tot acht maanden. Het verloop van beide tests staat bij red teaming en TIBER.
Hoe vaak reserveer je budget voor een pentest?
Reken op één test per jaar en een extra test na een grote wijziging in architectuur, hosting of authenticatie. Voor een DigiD-aansluiting is de jaarlijkse pentest verplicht. Meer over het ritme staat bij wanneer en hoe vaak je test.
Bronnen
- IBgids, Wat kost een penetratietest? Prijzen en doorlooptijd, 9 augustus 2026.
- Matproof, Penetratietest kosten in Nederland, 9 maart 2026.
- Secure Audit, Wat kost een pentest? Prijsindicatie, factoren en veelgemaakte fouten, 14 juli 2026.
- EHGI, Wat kost een pentest? Prijsindicatie voor Nederlandse bedrijven, 4 februari 2026.
- KVK, Zo houdt een pentest je bedrijf veilig, bijgewerkt op 16 juli 2025.
- Het CCV, Veelgestelde vragen over het keurmerk Pentesten, laatst gewijzigd op 18 maart 2025.
- Tarieven van de bureaus, geraadpleegd op 5 oktober 2026: Budget Security, Resync, DongIT, Monkeys ICT, Zolder, CyberScore, Securitytest en Anderis Security.